RUSTSEC-2026-0369: ZipStreamReader::extract() and ZipArchive::extract() apply Unix permissions through symlinks without confining the target
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 3/5
- Temps estimé
- Une demi-journée
- Accessibilité débutants
- 70/100
Piste de recherche
Read the linked RustSec and GitHub advisories first to understand the unsafe ZipStreamReader::extract() and ZipArchive::extract() behavior. Locate where the zip dependency is declared in stackablectl, then update it to a patched version (>=9.0.0) and verify that archive extraction no longer applies Unix permissions through unconfined symlinks. Add or run a focused extraction security test if the repository has an appropriate test location.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
ZipStreamReader::extract() and ZipArchive::extract() apply Unix permissions through symlinks without confining the target
| Details | |
|---|---|
| Package | zip |
| Version | 3.0.0 |
| Date | 2026-10-10 |
| Patched versions | >=9.0.0 |
ZipStreamReader::extract() applies Unix permissions through extracted symlinks without validating the symlink target stays within the destination
For further details see: https://github.com/zip-rs/zip2/security/advisories/GHSA-4684-h2q9-2vcp
See advisory page for additional details.
- Langage dominant
- Rust
- Étoiles
- 11
- Forks
- 5
- Merge moyen
- 1 j 6 h
- PR mergées (30 j)
- 1
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Aucun guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de stackabletech/stackablectl
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 65/100
stackabletech/stackablectl#475 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
stackabletech/stackablectl#471 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 60/100
stackabletech/stackablectl#468 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
stackabletech/stackablectl#456 ·
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 35/100
stackabletech/stackablectl#476 ·
Toutes les issues de stackabletech/stackablectl
Issues similaires
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
-
area:frontend kind:bug priority:p3 ready
Difficulté 2/5 1-3 heures Accessibilité débutants 88/100
Les mainteneurs répondent en général sous 1 jour
-
bug priority: medium ui
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
storytold/vectorcraft#6333 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
bug lexer
Difficulté 2/5 1-3 heures Accessibilité débutants 84/100
Les mainteneurs répondent en général sous 1 jour
-
yara-x fails to build with rsa 0.10.0: unresolved import rsa::Pkcs1v15SignPeut-être pris @CfirTsabari l’a pris aujourd’hui. Ouverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 87/100
VirusTotal/yara-x#865 ·
Les mainteneurs répondent en général sous 1 jour